CN112269998A - 一种服务器的启动控制方法、系统、设备及存储介质 - Google Patents

Abstract

本申请公开了一种服务器的启动控制方法，包括：在服务器启动时，读取可信模块的在位信息；判断在位信息是否正常；如果是，则启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动；如果否，则执行预设的不可信策略。应用本申请的方案，提高了服务器启动的安全性。本申请还提供了一种服务器的启动控制系统、设备及存储介质，具有相应技术效果。

Description

一种服务器的启动控制方法、系统、设备及存储介质

技术领域

本发明涉及服务器技术领域，特别是涉及一种服务器的启动控制方法、系统、设备及存储介质。

背景技术

可信计算是通过在计算系统中集成专用硬件模块来建立信任源点，利用密码机制建立信任链，构建可信赖的计算环境，从而可以解决计算系统的安全问题。主流的可信硬件模块技术包括TPM、TCM、TPCM等技术。

TPM、TCM、TPCM是三种较为常用的可信模块，可以对服务器系统中的BMC flash/BIOS flash/操作系统等依次进行可信度量，具体的，TPM和TCM可以通过与BMC和PCH的交互访问来度量BMC flash和BIOS flash，TPCM则可以直接访问BMC flash和BIOS flash做度量。均度量成功之后，便可以进入可信的运行环境，即允许系统正常启动，运行可信类业务，如数据加解密、网络传输、云服务应用等。如果任一环节度量失败，则进入不可信的运行环境，即执行系统预置的不可信策略。

不同客户往往会使用不同的可信启动方案，对一块服务器主板而言，为了支持TPM/TCM/TPCM各种模块，以及不放置可信模块的场景，往往会将可信模块制作成扣板的形态，依据客户要求搭配不同的可信模块做出货。可信模块本身的内部逻辑具有不可更改的特性，但是，由于可信模块的可拆卸性质，可信模块自身便存在被拆卸的可能性，从而对服务器的系统带来一定程度的风险性和不确定性。

综上所述，如何有效地提高服务器启动的安全性，是目前本领域技术人员急需解决的技术问题。

发明内容

本发明的目的是提供一种服务器的启动控制方法、系统、设备及存储介质，以有效地提高服务器启动的安全性。

为解决上述技术问题，本发明提供如下技术方案：

一种服务器的启动控制方法，包括：

在服务器启动时，读取可信模块的在位信息；

判断所述在位信息是否正常；

如果是，则启动所述可信模块以使所述可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许所述服务器正常启动；

如果否，则执行预设的不可信策略。

优选的，所述可信模块为预设了序列号的可信模块。

优选的，还包括：

在服务器启动时，读取所述可信模块中的序列号；

判断读取的所述可信模块中的序列号与预先备份的序列号是否一致；

如果一致，且所述在位信息正常，则启动所述可信模块以使所述可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许所述服务器正常启动；

如果不一致或者所述在位信息不正常，则执行预设的不可信策略。

优选的，所述可信模块中预设的序列号为不支持在系统中实时改写的序列号。

优选的，预先备份的序列号为存储在主板的非易失性空间中的序列号。

优选的，还包括：

在服务器运行过程中，按照预设的周期读取可信模块的在位信息，并且当任意时刻读取的可信模块的在位信息不正常时，执行预设的不可信策略。

优选的，所述执行预设的不可信策略，包括：关闭系统电源和/或关闭BMC芯片和/或关闭CPU。

优选的，服务器的启动控制方法应用于预设的硬件器件中。

优选的，预设的所述硬件器件为CPLD或者FPGA。

一种服务器的启动控制系统，包括：

在位信息读取单元，用于在服务器启动时，读取可信模块的在位信息；

在位信息判断单元，用于判断所述在位信息是否正常，如果是，则触发可信模块执行单元，否则触发不可信执行单元；

所述可信模块执行单元，用于启动所述可信模块以使所述可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许所述服务器正常启动；

所述不可信执行单元，用于执行预设的不可信策略。

一种服务器的启动控制设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序以实现上述任一项所述的服务器的启动控制方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一项所述的服务器的启动控制方法的步骤。

应用本发明实施例所提供的技术方案，考虑到可信模块自身存在被拆卸、更换的可能性，因此，在服务器启动时，会读取可信模块的在位信息，判断在位信息是否正常，也即判断可信模块是否在位。如果是，说明可信模块在位，未被拆卸，因此可以启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动。相应的，如果在位信息不正常，说明存在安全隐患，本申请的方案便会执行预设的不可信策略，从而进一步地提高了服务器启动的安全性，避免了可信模块被拆卸而导致的安全隐患。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明中一种服务器的启动控制方法的实施流程图；

图2为本发明中一种服务器的启动控制系统的结构示意图；

图3为本发明中一种服务器的启动控制设备的结构示意图。

具体实施方式

本发明的核心是提供一种服务器的启动控制方法，提高了服务器启动的安全性。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图1，图1为本发明中一种服务器的启动控制方法的实施流程图，该服务器的启动控制方法可以包括以下步骤：

步骤S101：在服务器启动时，读取可信模块的在位信息。

具体的，考虑到可信模块用于进行BMC/BIOS的保护，因此，如果设定为由BMC软件来执行本申请的方案，由于BMC软件可篡改，因此不利于方案的可靠实施。

因此，在本发明的一种具体实施方式中，本申请的服务器的启动控制方法可以应用于预设的硬件器件中，即利用底层硬件来执行本申请的各个步骤，底层硬件不可篡改，提高本申请方案的可靠性。预设的硬件器件的具体类型可以根据实际需要进行设定和选取，例如可以利用CPLD或者FPGA等底层硬件来实施本申请的方案，对可信模块的在位信息进行监控。

在服务器启动时，便可以读取可信模块的在位信息，在实际应用中，为了便于方案的实施，通常用CPLD或者FPGA的一个引脚来接收在位信息即可，例如高电平表示在位信息正常，低电平表示在位信息异常。

步骤S102：判断在位信息是否正常，如果是，则执行步骤S103，如果否，则执行步骤S104。

步骤S103：启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动。

判断出在位信息正常之后，便可以启动可信模块。可信模块具体可以是TPM，TCM，TPCM等可信模块，可以根据实际需要进行设定和选取。

可信模块可以进行可信度量的进程，可信度量的进程的具体内容也可以根据实际情况进行设定，通常是对服务器的BMC flash，BIOS flash以及操作系统等依次进行可信度量，如果均通过，便说明可信度量的进程成功完成，服务器可以进入可信的运行环境，即允许服务器正常启动。反之，任一环节度量失败，便会进入不可信的运行环境，即执行预设的不可信策略。

步骤S104：执行预设的不可信策略。

判断出在位信息不正常之后，说明存在安全隐患，便不需要启动可信模块，而是可以直接执行预设的不可信策略。

预设的不可信策略的具体内容也可以根据实际需要进行设定和调整，例如在本发明的一种具体实施方式中。执行预设的不可信策略，可以具体包括：关闭系统电源和/或关闭BMC芯片和/或关闭CPU。

关闭系统电源是最为常见、简单的策略，此外，部分场合中，也会在关闭或复位BMC芯片，关闭或复位CPU，输出告警信号等措施中选择一种或多种，根据实际需要选取即可。还有的场景中，允许服务器上电启动，但禁止任何可信类应用的运行。

在本发明的一种具体实施方式中，可信模块为预设了序列号的可信模块，服务器的启动控制方法还包括：

在服务器启动时，读取可信模块中的序列号；

判断读取的可信模块中的序列号与预先备份的序列号是否一致；

如果一致，且在位信息正常，则启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动；

如果不一致或者在位信息不正常，则执行预设的不可信策略。

本申请进一步地考虑到，前述实施方式中对可信模块的在位信息进行正常与否的检测，可以确定出可信模块是否在位，从而在一定程度上提高了安全性。但是，还有的情况是可信模块被更换了，这样依然有正常的在位信息。因此，该种实施方式中，预先在可信模块中预设了序列号，而在服务器启动时，该种实施方式会读取可信模块中的序列号，并且判断其与预先备份的序列号是否一致。

如果二者一致，说明可信模块未被更换，因此，在位信息如果也是正常的，便可以启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动。

相应的，如果二者不一致，则可以直接执行预设的不可信策略。也就是说，该种实施方式中，可信模块的在位信息正常，序列号一致，这两个条件均需要成立，任一不成立都会执行预设的不可信策略，从而进一步地提高了方案的安全性。

此外需要说明的是，在可信模块中预设序列号，通常可以通过FRU电子标签实现，即，将预设序列号在生产加工时便写入FRU电子标签。此外，可信模块中预设的序列号可以设置为不支持在系统中实时改写的序列号，从而进一步地保障了方案的安全性，避免未拆卸可信模块而是修改序列号的情况的发生。

预先备份的序列号通常可以为存储在主板的非易失性空间中的序列号，例如非易失性空间可以具体为主板的FRU电子标签，或者CPLD中的UFM空间等。此外，预先备份的序列号可以在生产加工阶段写入，与可信模块中预设的序列号一样，预先备份的序列号也可以设置为不支持在系统中实时改写的序列号，从而保障安全性。

在本发明的一种具体实施方式中，还可以包括：

在服务器运行过程中，按照预设的周期读取可信模块的在位信息，并且当任意时刻读取的可信模块的在位信息不正常时，执行预设的不可信策略。

考虑到前述实施方式都是针对服务器启动阶段的安全性，该种实施方式中，进一步地考虑到在服务器运行过程中，可信模块可能存在被拆卸的情况，因此在服务器运行过程中，会按照预设的周期读取可信模块的在位信息，预设周期的具体取值可以根据实际情况进行设定。

当任意时刻读取的可信模块的在位信息不正常时，也会执行预设的不可信策略，有利于保障服务器运行中的安全性。

应用本发明实施例所提供的技术方案，考虑到可信模块自身存在被拆卸、更换的可能性，因此，在服务器启动时，会读取可信模块的在位信息，判断在位信息是否正常，也即判断可信模块是否在位。如果是，说明可信模块在位，未被拆卸，因此可以启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动。相应的，如果在位信息不正常，说明存在安全隐患，本申请的方案便会执行预设的不可信策略，从而进一步地提高了服务器启动的安全性，避免了可信模块被拆卸而导致的安全隐患。

相应于上面的方法实施例，本发明实施例还提供了一种服务器的启动控制系统，可与上文相互对应参照。

参见图2所示，为本发明中一种服务器的启动控制系统的结构示意图，包括：

在位信息读取单元201，用于在服务器启动时，读取可信模块的在位信息；

在位信息判断单元202，用于判断在位信息是否正常，如果是，则触发可信模块执行单元203，否则触发不可信执行单元204；

可信模块执行单元203，用于启动可信模块以使可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许服务器正常启动；

不可信执行单元204，用于执行预设的不可信策略。

在本发明的一种具体实施方式中，可信模块为预设了序列号的可信模块。

在本发明的一种具体实施方式中，还包括：

序列号读取单元，用于在服务器启动时，读取可信模块中的序列号；

序列号判断单元，用于判断读取的可信模块中的序列号与预先备份的序列号是否一致，如果一致，且在位信息判断单元判断出在位信息正常，则触发可信模块执行单元203，如果不一致或者在位信息不正常，则触发不可信执行单元204。

在本发明的一种具体实施方式中，可信模块中预设的序列号为不支持在系统中实时改写的序列号。

在本发明的一种具体实施方式中，预先备份的序列号为存储在主板的非易失性空间中的序列号。

在本发明的一种具体实施方式中，还包括：

序列号周期判断单元，用于在服务器运行过程中，按照预设的周期读取可信模块的在位信息，并且当任意时刻读取的可信模块的在位信息不正常时，触发不可信执行单元204。

在本发明的一种具体实施方式中，不可信执行单元204，具体用于：

关闭系统电源和/或关闭BMC芯片和/或关闭CPU。

在本发明的一种具体实施方式中，服务器的启动控制系统应用于预设的硬件器件中。

在本发明的一种具体实施方式中，预设的硬件器件为CPLD或者FPGA。

相应于上面的方法和系统实施例，本发明实施例还提供了一种服务器的启动控制设备以及一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现上述任一实施例中的服务器的启动控制方法的步骤，可与上文相互对应参照。这里所说的计算机可读存储介质包括随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质。

可参阅图3，为一种服务器的启动控制设备的结构示意图，包括：

存储器，用于存储计算机程序；

处理器，用于执行计算机程序以实现上述任一实施例中的服务器的启动控制方法的步骤。

还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的技术方案及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (12)

1.一种服务器的启动控制方法，其特征在于，包括：

在服务器启动时，读取可信模块的在位信息；

判断所述在位信息是否正常；

如果是，则启动所述可信模块以使所述可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许所述服务器正常启动；

如果否，则执行预设的不可信策略。

2.根据权利要求1所述的服务器的启动控制方法，其特征在于，所述可信模块为预设了序列号的可信模块。

3.根据权利要求2所述的服务器的启动控制方法，其特征在于，还包括：

在服务器启动时，读取所述可信模块中的序列号；

判断读取的所述可信模块中的序列号与预先备份的序列号是否一致；

如果一致，且所述在位信息正常，则启动所述可信模块以使所述可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许所述服务器正常启动；

如果不一致或者所述在位信息不正常，则执行预设的不可信策略。

4.根据权利要求3所述的服务器的启动控制方法，其特征在于，所述可信模块中预设的序列号为不支持在系统中实时改写的序列号。

5.根据权利要求3所述的服务器的启动控制方法，其特征在于，预先备份的序列号为存储在主板的非易失性空间中的序列号。

6.根据权利要求1至5任一项所述的服务器的启动控制方法，其特征在于，还包括：

在服务器运行过程中，按照预设的周期读取可信模块的在位信息，并且当任意时刻读取的可信模块的在位信息不正常时，执行预设的不可信策略。

7.根据权利要求1所述的服务器的启动控制方法，其特征在于，所述执行预设的不可信策略，包括：关闭系统电源和/或关闭BMC芯片和/或关闭CPU。

8.根据权利要求1所述的服务器的启动控制方法，其特征在于，服务器的启动控制方法应用于预设的硬件器件中。

9.根据权利要求8所述的服务器的启动控制方法，其特征在于，预设的所述硬件器件为CPLD或者FPGA。

10.一种服务器的启动控制系统，其特征在于，包括：

在位信息读取单元，用于在服务器启动时，读取可信模块的在位信息；

在位信息判断单元，用于判断所述在位信息是否正常，如果是，则触发可信模块执行单元，否则触发不可信执行单元；

所述可信模块执行单元，用于启动所述可信模块以使所述可信模块进行可信度量的进程，并在可信度量的进程成功完成之后，允许所述服务器正常启动；

所述不可信执行单元，用于执行预设的不可信策略。

11.一种服务器的启动控制设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序以实现如权利要求1至9任一项所述的服务器的启动控制方法的步骤。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至9任一项所述的服务器的启动控制方法的步骤。

Images